ChatGPT vs Claude vs l'IA canadienne souveraine : un guide de conformité

Si vous évaluez ChatGPT, Claude ou une plateforme d'IA canadienne souveraine pour votre organisation, la vraie question n'est pas de savoir laquelle rédige les meilleurs courriels. C'est de savoir laquelle vous expose à un risque légal en vertu de la Loi 25, de la LPRPDE ou de règles sectorielles comme le CPCSC. ChatGPT et Claude sont des entreprises américaines assujetties au CLOUD Act américain. Une plateforme d'IA canadienne sans société mère américaine ne l'est pas. Ce fait de compétence juridictionnelle détermine presque tout le reste de cette comparaison, de la responsabilité en cas d'atteinte à l'admissibilité aux appels d'offres des secteurs réglementés.

La question de compétence que tout le monde évite

La plupart des comparaisons entre ChatGPT, Claude et les solutions de rechange canadiennes se concentrent sur la qualité des modèles : fenêtres de contexte, scores de référence, style d'écriture. C'est le mauvais point de départ pour toute organisation qui traite des renseignements personnels, des données financières ou des informations juridiques privilégiées.

La question de conformité est plus simple, et moins flatteuse pour les entreprises en place. Qui peut être légalement contraint de remettre vos données, et en vertu de quelle loi?

L'emplacement des serveurs et la compétence corporative ne sont pas la même chose. Une entreprise américaine peut être contrainte, en vertu du CLOUD Act, de produire des données qu'elle contrôle, peu importe où ces données se trouvent physiquement.

OpenAI est une société du Delaware. Anthropic est une société du Delaware. Les deux sont assujetties au CLOUD Act américain, qui autorise les autorités policières des États-Unis à contraindre les entreprises américaines à produire des données sous leur contrôle, y compris des données appartenant à des clients canadiens, traitées pour le compte d'organisations canadiennes, concernant des résidents canadiens.

Ce n'est pas hypothétique. C'est le texte même de la loi, et c'est pourquoi les lignes directrices fédérales en matière d'approvisionnement et plusieurs cadres provinciaux d'approvisionnement classent maintenant les services infonuagiques contrôlés par les États-Unis comme une catégorie de risque distincte. Le Commissariat à la protection de la vie privée du Canada a soulevé des préoccupations similaires concernant les transferts transfrontaliers dans ses propres lignes directrices sur les flux de données transfrontaliers.

Ce que la Loi 25 exige réellement

La Loi 25 du Québec, en vigueur par étapes depuis septembre 2022, est la loi sur la protection de la vie privée la plus stricte au Canada, et elle a des dents que la LPRPDE n'a pas.

Principales obligations pertinentes au choix d'un outil d'IA :

• Une évaluation des facteurs relatifs à la vie privée est obligatoire avant tout transfert de renseignements personnels à l'extérieur du Québec, et avant l'acquisition ou la refonte d'un système d'information qui traite des renseignements personnels
• Le consentement doit être précis et éclairé — les cases à cocher générales du type « j'accepte les conditions » pour les outils d'IA ne satisfont pas à cette norme
• Les personnes concernées doivent être informées des transferts transfrontaliers avant qu'ils n'aient lieu
• Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé
• Les dispositions pénales peuvent atteindre 25 000 000 $ ou 4 % du chiffre d'affaires mondial pour les violations graves

Un cabinet d'avocats québécois qui verse des documents de clients dans ChatGPT pour de l'aide à la rédaction effectue très probablement un transfert transfrontalier non évalué de renseignements personnels, le genre de transfert qui exige une EFVP documentée pour être justifié. Peu de cabinets ont cette évaluation au dossier. Encore moins l'ont évaluée correctement, car « OpenAI a une entente de traitement des données » ne répond pas à la question de l'exposition au CLOUD Act. La Commission d'accès à l'information du Québec publie des lignes directrices sur ce que doit couvrir une EFVP conforme.

Une entente de traitement des données signée avec un fournisseur américain n'élimine pas l'exposition au CLOUD Act. Elle ne fait que documenter le fait que cette exposition a été divulguée.

La LPRPDE et le principe de responsabilisation

À l'extérieur du Québec, la LPRPDE régit le traitement des données dans le secteur privé, et son principe de responsabilisation fait porter le fardeau à l'organisation, et non au fournisseur.

En vertu de la LPRPDE, vous demeurez responsable des renseignements personnels même après leur transfert à un tiers fournisseur de services. Si ChatGPT ou Claude subit une atteinte à la sécurité, ou est contraint de divulguer des données en vertu du CLOUD Act, c'est l'organisation canadienne qui a fourni les données qui doit répondre au Commissariat à la protection de la vie privée en vertu de l'obligation de déclaration obligatoire des atteintes de la LPRPDE. Pas OpenAI. Pas Anthropic.

C'est pourquoi l'argument « utilisez simplement ChatGPT Enterprise, les conditions sont meilleures » passe à côté de l'essentiel. De meilleures conditions contractuelles avec une entreprise américaine ne changent pas quel gouvernement peut exiger la divulgation. Elles ne font que rendre la lettre de notification d'atteinte un peu plus soignée.

Les organisations du secteur public font face à une version encore plus aiguë de ce problème. Notre guide sur les exigences d'évaluation des facteurs relatifs aux algorithmes pour le gouvernement de la Colombie-Britannique explique comment une province a déjà officialisé cet examen de compétence dans sa politique d'approvisionnement.

Là où le CPCSC entre en jeu

Pour les institutions financières sous réglementation fédérale, le cadre des Dispositions canadiennes pour les systèmes et contrôles critiques (CPCSC) ajoute une couche supplémentaire : des attentes en matière de résilience opérationnelle qui présupposent que les fournisseurs et sous-traitants relèvent d'une surveillance réglementaire canadienne, et non d'ordonnances de contrainte étrangères que les régulateurs canadiens ne peuvent ni voir ni contester.

Une banque ou une caisse populaire qui achemine les données financières de ses clients vers un outil d'IA hébergé aux États-Unis ne court pas seulement un risque de confidentialité. Elle court un risque de déclaration réglementaire, car elle pourrait ne pas savoir quand ses données ont été consultées en vertu d'une ordonnance légale étrangère dont elle n'a jamais été informée.

ChatGPT et Claude : ce pour quoi ils sont réellement utiles

Pour être juste envers ces deux produits, ChatGPT et Claude sont de solides modèles à usage général. Aucun des deux n'est un mauvais outil. Le problème n'est pas la capacité. C'est l'applicabilité aux données canadiennes réglementées.

Là où ils fonctionnent bien :

• Contenu marketing public sans renseignement personnel ou de client
• Recherche générale sur des sujets non confidentiels
• Remue-méninges interne avec des données d'entrée entièrement anonymisées
• Usage personnel, non organisationnel

Là où ils créent une exposition :

• Dossiers de clients, notes de cas ou contrats dans le secteur juridique
• Dossiers de patients ou formulaires d'admission en santé
• Données de comptes financiers ou documentation de connaissance du client (KYC) dans le secteur bancaire et les fintechs
• Tout renseignement personnel couvert par la Loi 25 ou la LPRPDE, point final

Les analyses sectorielles sont importantes ici. Nos revues des outils d'IA canadiens pour le travail réglementé en santé et du travail pharmaceutique réglementé couvrent la documentation dont chaque secteur a besoin en plus du test de compétence général.

Ce que signifie réellement « IA canadienne »

L'expression « IA canadienne » est utilisée de façon vague, alors il vaut la peine d'être précis sur ce qu'elle devrait signifier dans un contexte d'approvisionnement. Ça ne veut pas dire une entreprise américaine avec un bureau de vente à Toronto. Ça ne veut pas dire un modèle américain avec une interface en français. Ça veut dire que l'entreprise elle-même, sa propriété, son incorporation et sa base d'investisseurs, se trouve à l'intérieur de la compétence canadienne.

La souveraineté est d'abord une question de structure corporative avant d'être une question technique. Si la société mère est américaine, la loi américaine atteint les données peu importe où se trouvent les serveurs.

Une plateforme d'IA canadienne véritablement souveraine n'a aucune société mère américaine et aucun investisseur américain pouvant déclencher une compétence par le biais de la structure de propriété. C'est le test qui compte, pas la page marketing.

C'est l'écart qu'Augure a été bâti pour combler. Augure est une entreprise canadienne, point final : aucune société mère américaine, aucun investisseur américain au tableau de capitalisation, et un contenu client qui n'est jamais traité par des fournisseurs relevant de la compétence américaine, de sorte que la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à elle. L'inférence s'exécute sur une infrastructure canadienne et avec des partenaires européens vérifiés selon des ententes de zéro conservation des données, jamais avec des fournisseurs américains. Ça signifie qu'Augure ne stocke pas vos invites et vos documents sur des serveurs qu'un gouvernement étranger peut assigner à comparaître, et qu'Augure n'est pas une entité américaine pouvant être contrainte de les remettre en premier lieu.

Pour les organisations qui se demandent depuis la dernière année s'il existe une plateforme d'IA canadienne qu'elles peuvent réellement déployer pour du travail réglementé, voici la réponse précise : un outil d'IA canadien bâti autour des exigences de la Loi 25 et de la LPRPDE dès l'architecture, et non doté d'un avis de conformité après coup. Les équipes du secteur public qui se posent la même question voudront peut-être aussi comparer avec notre survol des outils d'IA canadiens pour le travail gouvernemental réglementé, et les administrateurs en éducation trouveront une discussion parallèle dans outils d'IA canadiens pour le travail réglementé en éducation.

Un cadre de comparaison pratique

Lorsque votre équipe de la protection de la vie privée ou de la conformité évalue ChatGPT, Claude ou une solution de rechange canadienne en IA, posez ces questions dans l'ordre :

1. Dans quelle compétence la société mère est-elle incorporée? Ça détermine l'exposition au CLOUD Act ou à une loi étrangère équivalente.
2. Le fournisseur conserve-t-il les invites et les documents, et pendant combien de temps? La conservation zéro réduit considérablement la surface d'exposition en cas d'atteinte.
3. Une EFVP a-t-elle été complétée pour cet outil spécifique en vertu de la Loi 25, le cas échéant?
4. Le fournisseur peut-il confirmer qu'aucune participation américaine ne dépasse les seuils de compétence juridictionnelle?
5. L'outil a-t-il une mémoire persistante, et où cette mémoire est-elle stockée?

Le produit Clavardage d'Augure offre une mémoire persistante à partir du forfait Pro, précisément pour que les équipes n'aient pas à choisir entre la facilité d'utilisation et la conformité. La fonction de mémoire est intégrée à la même architecture de compétence canadienne que tout le reste, et non greffée comme un module complémentaire hébergé aux États-Unis. Vous pouvez consulter la description complète du produit sur augureai.ca.

En résumé

ChatGPT et Claude ne sont pas disqualifiés parce que ce sont de mauvais produits. Ils sont disqualifiés pour les données canadiennes réglementées parce que les entreprises derrière eux répondent à la loi américaine, et les lois canadiennes sur la protection de la vie privée vous font porter la responsabilité, et non elles, lorsque ça devient un problème.

Si votre organisation traite des renseignements personnels en vertu de la Loi 25 ou de la LPRPDE, ou opère sous la surveillance du CPCSC, la question de conformité ne se pose pas vraiment. Une plateforme d'IA canadienne souveraine élimine l'exposition juridictionnelle à la source, au lieu de la camoufler avec une entente de traitement des données.

Augure a été bâti exactement pour cette évaluation : une entreprise canadienne, une architecture de compétence canadienne, une conformité à la Loi 25 et à la LPRPDE intégrée à la plateforme plutôt qu'ajoutée après coup. Si vous faites cette évaluation pour votre organisation en ce moment, augureai.ca est un bon point de départ pour comparer les options correctement.